- Đây là một câu chuyện dựa trên sự việc có thật về rủi ro của vendor lock-in và các hành vi thương mại mang tính gây hấn
- Các cơ quan công quyền định chuyển hệ thống email sang nền tảng mã nguồn mở nhưng lại vấp phải hợp đồng bất công và nghi vấn bị nhà cung cấp giám sát
- Những điều khoản ẩn trong hợp đồng cùng các sửa đổi đơn phương đã chặn khả năng rời bỏ nhà cung cấp và làm chi phí vận hành tăng vọt
- Ngay cả khi đã lộ ra dấu hiệu giám sát và đọc email, tổ chức vẫn chỉ quan tâm đến chi phí tăng thêm hơn là phản ứng pháp lý và đạo đức
- Ngay cả những công ty nhân danh tinh thần mã nguồn mở cũng có thể tạo ra các trường hợp lạm dụng, để lại tổn hại niềm tin và hình ảnh tiêu cực cho toàn ngành
Lời mở đầu của tác giả
- Câu chuyện này dựa trên trải nghiệm có thật, nhưng để bảo vệ danh tính cá nhân và doanh nghiệp, một phần công nghệ, chi tiết và bối cảnh đã được chỉnh sửa hoặc trộn lẫn
- Tác giả khuyến nghị nên đọc đây như một trường hợp điển hình nhằm nói về hai vấn đề phổ biến trong ngành CNTT là vendor lock-in và các thực hành kinh doanh mang tính gây hấn
Diễn biến – triển khai hệ thống email mới
- Vài năm trước, một cơ quan công quyền lớn (Agency A) đang dùng máy chủ email Exchange đã cũ
- Các bản cập nhật bảo mật đã không được thực hiện từ lâu nên rủi ro phơi lộ rất lớn, đồng thời xuất hiện quy định khuyến nghị áp dụng mã nguồn mở
- Một nhà thầu bên ngoài đề xuất dịch vụ quản lý dựa trên một stack email mã nguồn mở, được họ tự mở rộng và đi kèm hỗ trợ doanh nghiệp
- Mức giá tương đương mặt bằng thường thấy trên thị trường, nhưng xét theo dịch vụ thực tế cung cấp thì mức giá bị đội lên quá cao
- Agency A vốn đã có hạ tầng đáng tin cậy (nhiều trung tâm dữ liệu, dải IP vững chắc, v.v.)
- Yêu cầu của cơ quan là "đánh giá giải pháp này và nếu phù hợp thì di chuyển" (quy mô: khoảng 500 hộp thư và bí danh)
Pilot và quá trình chuyển đổi thành công
- Tác giả đã áp dụng stack mã nguồn mở đó với mức giá ưu đãi cho một môi trường không cốt lõi và một số khách hàng thử nghiệm, rồi kiểm chứng suốt 1 năm mà không gặp vấn đề
- Hài lòng với độ linh hoạt trong thiết kế, tác giả khuyến nghị Agency A thực hiện pilot migration
- Sau khi dựng máy chủ mới, cấu hình tên miền cho nhóm tham gia sớm rồi tiến hành di chuyển dần dần
- Sau khi chuyển bản ghi MX, hệ thống đi vào ổn định mà không phát sinh trục trặc, đội nội bộ của tổ chức cũng vận hành được mà không có vấn đề lớn
Tin đồn lan ra và cơ quan thứ hai
- Agency B là khách hàng hiện hữu của cùng nhà cung cấp dịch vụ quản lý
- Họ quan tâm đến việc di chuyển sau khi thấy các lợi ích như giảm tổng chi phí xuống còn 1/10, giành lại quyền tự chủ dữ liệu và tăng độ ổn định
- Tuy nhiên, hợp đồng tự động gia hạn 5 năm vẫn còn 2 năm nữa mới hết, nhưng điều khoản báo trước 6 tháng giúp vẫn còn dư thời gian chuẩn bị
- Vì lo ngại chính sách bán hàng gây hấn và khả năng bị trả đũa từ nhà cung cấp, mọi chuẩn bị đều được tiến hành trong tuyệt mật
- Sau khi hoàn tất cấu hình tài khoản, bí danh và bộ kiểm thử, họ lên kế hoạch thực hiện migration đúng thời điểm gửi thông báo chấm dứt hợp đồng
Cơ quan thứ ba xuất hiện và điềm xấu
- Agency C cũng đang dùng cùng nhà cung cấp và muốn chuyển sang cùng stack mã nguồn mở đó
- Tác giả gửi báo giá riêng cho Agency C nhưng không nhắc đến mối liên hệ với Agency B
- Mọi thứ có vẻ trôi chảy, cho đến khi bất ngờ có một tin nhắn SMS gửi đến (nội dung là "không gửi được email")
Cản trở chấm dứt hợp đồng và dấu hiệu rò rỉ thông tin nội bộ
- Người phụ trách CNTT của Agency B thông báo rằng "đã phát sinh vấn đề trong việc chấm dứt hợp đồng, và việc chuẩn bị rời đi trong nội bộ đã lộ cho nhà cung cấp"
- Nhà cung cấp nắm được cả kế hoạch nội bộ của cơ quan lẫn báo giá mà tác giả gửi cho Agency C
- Agency C còn bị phía nhà cung cấp đe dọa cạnh tranh không lành mạnh và pháp lý, khi họ tự xưng là "đơn vị lắp đặt được chứng nhận duy nhất cho phần mềm này"
- Lo ngại tranh chấp tiềm tàng, cơ quan đã từ bỏ kế hoạch di chuyển
Nghi ngờ nghe lén email và phép thử
- Tại Agency C, người ta phát hiện tài khoản xác thực bằng token của một quản lý hợp đồng cũ từ bên ngoài có quyền truy cập toàn bộ email
- Người này thú nhận đã "báo cho" nhà cung cấp, nhưng phủ nhận việc nhắc tới tác giả
- Để xác nhận nghi vấn nghe lén email, tác giả nhờ một người quen ở nước ngoài gửi một báo giá giả, sau đó nhà cung cấp lập tức nhắc đến đúng thông tin đó
- Qua đó cho thấy khả năng email đã bị đọc là rất cao
Điều khoản hợp đồng gây sốc và phản ứng của nhà cung cấp
- Khi đội CNTT chính thức khiếu nại, nhà cung cấp đáp lại rằng việc đó "được phép theo điều khoản hợp đồng", đồng thời chỉ ra các sửa đổi đơn phương đã được chấp nhận từ 2 năm trước
- Ví dụ về các điều khoản sửa đổi:
- Kéo dài thời hạn thông báo từ 6 tháng lên 12 tháng
- Có thể chuyển các dịch vụ miễn phí sang thu phí
- Chặn mọi truy cập ngoài webmail với lý do "bảo mật" (và họ thực sự triển khai ngay lập tức)
- Đây là kiểu thực hành từng có thể tồn tại trong thời kỳ trước khi GDPR được áp dụng, khi quy định còn chưa đầy đủ
Phản ứng thụ động và thiệt hại tiếp theo
- Tác giả cố gắng trực tiếp giải thích về tranh cãi cạnh tranh công bằng và vấn đề đơn vị lắp đặt không được công nhận, nhưng nhà cung cấp không phản hồi bất kỳ nỗ lực liên lạc nào
- Tác giả khuyến nghị hai cơ quan tiến hành điều tra pháp lý và đạo đức, nhưng trên thực tế họ chỉ chú ý đến chi phí tăng thêm (các tính năng trước đây miễn phí bị thu tiền, cộng thêm 30% chi phí)
- Cuối cùng, các tổ chức chỉ xem gánh nặng ngân sách là vấn đề, thay vì coi trọng tham nhũng nội bộ hay vi phạm dữ liệu cá nhân
Kết cục và hàm ý
- Sau vài năm, toàn bộ các giám đốc chịu trách nhiệm đều đã được thay thế, chỉ còn lại đội kỹ thuật ở lại với sự hối tiếc và thái độ thận trọng hơn
- Cuối cùng mọi việc khép lại bằng việc chuyển sang một nhà cung cấp an toàn hơn nhưng không đột phá
- Tác giả rốt cuộc không thể giải quyết tận gốc vấn đề này
- Khi một công ty tự nhận là "hỗ trợ mã nguồn mở" nhưng lại thể hiện vendor lock-in hoặc hành vi phi đạo đức như vậy, toàn bộ ngành đều trở thành nạn nhân
- Cốt lõi của vấn đề không nằm ở phần mềm mà ở thái độ của con người sử dụng nó
1 bình luận
Ý kiến Hacker News
Từng có một người làm quản lý IT tạm thời vẫn tiếp tục đăng nhập vào ứng dụng email nhờ xác thực token và có thể truy cập mọi thư. Người này trước đây là bên đã ký hợp đồng ban đầu với nhà cung cấp. Khi được hỏi không chính thức thì họ nói chỉ liên hệ để "cảnh báo" nên không có vấn đề gì lớn. Kiểu hành xử như vậy thật sự rất khó chịu. Cũng giống những người làm rò rỉ thứ gì đó hoặc vi phạm quy định rồi lại nói "chẳng có gì đâu". Một Director làm cùng tôi cũng đã nhiều lần cư xử tương tự. Hễ biết đến phần mềm nào ở hội nghị là lập tức đặt demo và đề nghị ký hợp đồng. Sau đó còn hứa giao việc trước cho một nhà thầu ngoài mà ông ấy quen. Vì thực ra không có thẩm quyền ký hợp đồng nên đến lúc đó mới liên hệ với tôi. Ngay cả sau khi tôi được giao phụ trách lựa chọn sản phẩm thì chuyện này vẫn xảy ra thêm hai lần nữa. Mỗi lần tôi đều làm dưới một quản lý khác nhau, nhưng cả hai đều chỉ nói "không có vấn đề gì". Cuối cùng, Director đó bị chỉ ra rằng việc hứa giao việc và chuẩn bị hợp đồng như vậy là vi phạm nghiêm trọng chính sách công ty. Nhưng ông ấy chẳng quan tâm, nói rằng đó là vấn đề nội bộ nên không ai có thể kỷ luật mình. Sau này khi chúng tôi đánh giá sản phẩm đó, họ hứa rằng nó sẽ "tốt hơn theo thời gian", trong khi toàn bộ dữ liệu công ty cứ thế chảy vào AI. Họ hoàn toàn phớt lờ các quy tắc bảo mật dữ liệu doanh nghiệp. Khi đó Director cũng thản nhiên phản ứng kiểu "có vấn đề gì đâu, ai mà chẳng đọc dữ liệu của người khác". Cuối cùng đội pháp lý phải can thiệp và tắt tính năng AI. Việc đối đầu với những đồng nghiệp ác ý hoặc vô ý thức như vậy thực sự rất khó, nhất là khi người đó lại là cấp trên của mình. Họ cứ coi đó là sai sót rồi cho qua, và chẳng ai có thể chế tài họ
Tôi từng làm ở hai công ty thuộc Fortune 100. Nhiều lần tôi tận mắt thấy các quản lý ở khắp nơi công khai nhận lại quả cá nhân từ nhà cung cấp. Sau khi tôi chỉ ra chuyện đó công khai, họ không mời tôi dự nhiều cuộc họp nữa
Điều Director đó làm rất giống với những gì các HR Director mà tôi từng thấy thường hay làm. Họ cực kỳ thích cứ 2~3 năm lại thay đủ loại phần mềm đánh giá hiệu suất đắt đỏ mà không hề tham vấn ai. Dù vậy, Lattice mà họ thích dùng dạo này ít nhất còn có UX dùng được, chứ PeopleSoft hồi trước thì thật sự tệ
Yêu cầu ban đầu rất đơn giản: "Hãy đánh giá giải pháp này và nếu phù hợp thì di trú sang đó". Nhưng phải đọc đi đọc lại nhiều lần mới hiểu đúng ý. Giải pháp ở đây chỉ có nghĩa là stack mã nguồn mở, không bao gồm nhà cung cấp được nhắc tới ở đoạn trước. Ban đầu tôi tưởng là bao gồm cả nhà cung cấp, nhưng rồi họ cứ bắt đầu so sánh nên tôi bị rối
Tôi cũng phải đọc vài đoạn mới hiểu được điểm này
Thú vị đấy. Tôi lại dừng đọc đúng ở chỗ đó
Tôi cứ có cảm giác là đang nói về Oracle. Tất nhiên Oracle xử lý kiểu việc này khéo léo hơn nhiều, nhưng tôi luôn khuyên mọi người nên tránh xa sản phẩm của Oracle nếu có thể
Tôi hy vọng một ngày nào đó câu chuyện này sẽ được công khai tên thật
Theo lời tác giả thì công ty đó rất hay khởi kiện. Việc muốn tránh rơi vào tình huống bị họ kiện đích danh là điều dễ hiểu. Ngay cả các giám đốc của chính họ có lẽ cũng sẽ không muốn đối đầu với công ty này
Có người nói "hy vọng một ngày nào đó tên thật sẽ được công khai". Nhưng tác giả trả lời là viết ẩn danh để "bảo vệ quyền riêng tư của những người liên quan và của công ty". Nghe vậy khiến tôi nghĩ liệu giờ doanh nghiệp cũng có quyền riêng tư sao, nhưng tôi cũng hiểu cảm giác đó. Trước đây tôi từng làm ở một nơi mà công ty đã làm chuyện hoàn toàn không thể chấp nhận được trong một thảm họa thiên nhiên. Khi tôi nêu vấn đề, chỉ mình tôi bị kỷ luật, còn đồng nghiệp thì âm thầm chịu đựng. Cuối cùng tôi nghỉ việc ngay khi có cơ hội đầu tiên. Chuyện đó đã 20 năm rồi, nhưng thực sự không dễ để viết lại thành lời. Vì đã là chuyện từ hàng chục năm trước nên tôi lại tự hỏi còn ý nghĩa gì không, với cả công ty ấy giờ lãnh đạo cũng khác, tên cũng khác, thì còn lại gì nữa đâu. Vì thế trên blog của tôi có một dead-man's switch để tự động công bố những chuyện tồi tệ của nhiều công ty, nhưng tôi cũng tự hỏi có ai đọc thì sẽ thay đổi được gì không. Có lẽ chỉ thêm bực bội hoặc chẳng mang ý nghĩa gì. Dù vậy, tôi cũng lại là kiểu người trên HN luôn hô hào phải nêu đích danh, nên rốt cuộc bản thân cũng mâu thuẫn
Thật đáng tiếc là họ ở EU, nơi mà về mặt pháp lý lẫn văn hóa, quyền tự do ngôn luận dường như không được coi trọng đến thế
Người này có vẻ thật sự đang làm việc trong một môi trường như "bãi mìn". Mỗi bước đi đều có thể nổ ra vấn đề, lại còn có những đối thủ rất mạnh liên kết liên quan
Có thể tôi đang nhầm múi giờ hay nhầm đối tượng, nhưng có đoạn nói rằng "công ty này đã đề xuất một phiên bản tự quản lý cùng các tính năng riêng", nên tôi nghi ngờ không biết đó có còn là mã nguồn mở nữa không
Có rất nhiều dự án kiểu này. Ví dụ Gitlab có Community Edition mã nguồn mở, còn Premium và Ultimate thì là các phiên bản dịch vụ trả phí
Đây là kiểu "chỉ tuân thủ đúng câu chữ của luật". Ở châu Âu, đặc biệt là trong luật của nhiều quốc gia châu Âu, khu vực công thường bị yêu cầu phải dùng mã nguồn mở, vì các lý do như bảo đảm khả năng tương tác, tránh vendor lock-in, chủ quyền số, và nguyên tắc "tiền công = mã công". Dùng mã nguồn mở trên máy chủ của người khác thì về mặt kỹ thuật vẫn được tính là đáp ứng yêu cầu, nhưng nếu xét đến lý do thật sự của việc áp dụng mã nguồn mở, nhất là để tránh vendor lock-in, thì đó là một tình huống khá nực cười
Phải luôn đọc kỹ các điều khoản chi tiết trong hợp đồng trước khi ký. Với hợp đồng tiêu dùng thông thường đã vậy, còn với hợp đồng kinh doanh thì lại càng bắt buộc
Ngay cả hợp đồng kinh doanh nhỏ cũng không ngoại lệ. Ở tổ chức phi lợi nhuận nơi tôi là thành viên hội đồng quản trị, nhân viên đã tìm một máy photocopy đa năng cho văn phòng rồi mang hợp đồng về. Họ bảo mọi thứ đã được xem xét xong, tôi chỉ cần ký thôi, nhưng các điều khoản thật sự gây sốc. Ví dụ, nếu chúng tôi hủy vì bất kỳ lý do gì, kể cả khi phía bên kia không thực hiện hợp đồng, thì vẫn phải thanh toán ngay toàn bộ số tiền còn lại của hợp đồng. Vì cấu trúc là thuê nên họ đã gộp toàn bộ giá thiết bị vào các khoản thanh toán hằng tháng, trong khi quyền sở hữu thiết bị vẫn thuộc về nhà cung cấp. Thành ra dù hủy thì thiết bị vẫn là của họ, còn chúng tôi phải trả đủ toàn bộ tiền. Nếu có tranh chấp pháp lý thì bên chúng tôi còn phải chịu toàn bộ phí luật sư. Tôi nói là tuyệt đối không thể chấp nhận, và nhân viên thì giận tôi suốt gần một năm vì ở chỗ khác ai cũng ký cả
Lời khuyên là phải đọc kỹ cả phần điều khoản chi tiết, nhưng thực ra nhìn vào bài viết thì có những trường hợp việc đó cũng chẳng giúp ích gì. Ngày càng nhiều trường hợp điều khoản hợp đồng bị thay đổi "đơn phương" mà không hề thông báo cho bên liên quan. Trong ngành IT, chuyện này gần như là cơm bữa. Dù bạn có kiểm tra kỹ điều khoản của bản hợp đồng đã ký đến đâu thì cũng vô ích vì nó đã bị thay đổi mất rồi. Dạo này nếu còn được gửi email báo rằng điều khoản đã đổi thì đã là may mắn. Thái độ của họ là nếu không đồng ý thì bạn làm gì được nào; nếu không phải luật sư thì tôi sẽ nói chuyện này là bất hợp pháp, nhưng vì tòa án chưa thực sự trừng phạt đàng hoàng nên nó cứ lặp lại mãi
Cần tính cả thời gian, công sức để diễn giải và rà soát hợp đồng, cũng như rủi ro nếu hiểu sai, vào tổng chi phí khi ra quyết định. Nghĩ theo hướng đó thì có nhiều hợp đồng tốt hơn là đừng ký ngay từ đầu
Tôi tò mò không biết "điều khoản sửa đổi đơn phương" thực tế vận hành thế nào. Nếu bạn không thích phần điều khoản chi tiết thì có phải lập tức báo trước 6 tháng để chấm dứt không?
Tôi đã đọc hợp đồng đăng ký của ID.me và thực sự bị sốc. Họ yêu cầu từ bỏ quyền công dân một cách "tự nguyện". Vì thế tôi không muốn dùng. Nhưng để đăng nhập IRS.gov thì ngoài cái này ra không còn cách nào khác. Muốn xem YouTube thì gần như phải có tài khoản Google. Muốn vào nhóm chat phụ huynh thì phải đồng ý điều khoản Meta của WhatsApp. Những trường hợp kiểu này nhiều vô kể
Tôi không phải chuyên gia pháp lý, nhưng tôi nghĩ chính mục đích của việc họ đọc email và hành động dựa trên đó đã rõ ràng là bất hợp pháp, nên bản thân hợp đồng cũng phải bị vô hiệu
Đặc biệt nếu đây là một cơ quan chính phủ thì thật sự đáng sốc. Nếu một nhà thầu ngoài bí mật cài backdoor vào máy chủ email rồi âm thầm giám sát email thì sao? Có trời mới biết đó là tham nhũng hay hoạt động tình báo nước ngoài gì nữa. Nếu chuyện này xảy ra ở Mỹ thì FBI hoặc CIA hẳn đã vào cuộc để dọn sạch kiểu nhà cung cấp như vậy
Đúng vậy. Vấn đề là nếu chấm dứt hợp đồng, bạn sẽ phải đối đầu trên tòa với một bên cực kỳ thù địch, và họ sẽ làm mọi cách để buộc chúng tôi trả thêm tiền. Có những tổ chức coi trọng sự an toàn hơn đạo đức nên chấp nhận gánh thêm chi phí. Mặt khác, cũng có những công ty sẵn sàng đấu tranh để chống lại các vụ kiện bằng sáng chế bất công hay xóa bỏ các điều khoản hợp đồng vô lý. Nhưng tổ chức trong câu chuyện này rõ ràng không thuộc kiểu đó
Đây không phải tư vấn pháp lý, nhưng tôi nghĩ nhất định cần phải nêu đích danh để cảnh báo
Tôi nghĩ rất nhiều người trên HN từng trải qua hoàn cảnh tương tự. Trước đây chúng tôi từng bí mật chuẩn bị cho một đợt ngừng hệ thống, trong khi codebase lại được chia sẻ giữa công ty tôi và đối tác. Một lập trình viên bên tôi để lại trong commit nội dung kiểu như "Reversing Migration Script", và chưa đầy một giờ sau, giữa CEO của hai bên đã nổ ra một cuộc đối đầu dữ dội. Về sau tôi mới biết công ty kia đang theo dõi thời gian thực các từ ngữ kiểu đó trong mã nguồn, nên vừa thấy chúng tôi có dấu hiệu chuẩn bị chấm dứt là lập tức hành động. Thực ra việc chấm dứt đó hoàn toàn hợp pháp trước khi hợp đồng hết hạn, nên cũng chẳng có gì đặc biệt bất thường. Chỉ là đến khi biết chuyện đã có kiểu giám sát như vậy thì trong nội bộ còn bùng lên cả một cuộc săn phù thủy xem "gián điệp là ai". Đó thực sự là một trải nghiệm rất khắc nghiệt. Có cảm giác bây giờ những hành vi ở mức độ tâm thần kiểu này đã trở thành chuyện bình thường. Chỉ có mình tôi như người của thời xưa vẫn làm việc một cách ngây thơ, và có lẽ vì thế mà nhiều công ty cứ thích chỉ tuyển người ở độ tuổi 20 /nói đùa chút thôi
Nếu có thể thì mong bạn chia sẻ cụ thể họ đã giám sát bằng cách nào. Tôi muốn học từ những trường hợp như thế này
Ở những chỗ có thể bị giám sát, nên cố tình nhét vào các tên biến dễ kích hoạt cảnh báo. Kiểu như trò đùa về NSA ngày xưa ấy
Họ gọi đây là "câu chuyện kinh dị dựa trên sự thật", nhưng tôi lại tò mò không biết có đúng là thật không. Nếu các chi tiết là thật thì sẽ còn hấp dẫn hơn